Die Cybersicherheitslandschaft für Kritische Infrastrukturen (KRITIS) verschärft sich durch das Aufkommen hybrider Bedrohungsszenarien, welche die traditionellen Domänen physischer und digitaler Sicherheit verschmelzen. Hybride Bedrohung und Angriffe kombinieren konventionelle, cyber- und informationsbasierte Methoden, um maximale Störungen zu erzielen.
In dieser neuen Konfliktdimension fungieren unbemannte Luftfahrzeuge, kurz UAS (Unmanned Aircraft System), gemeinhin als Drohnen bezeichnet, als eine kritische Schnittstelle, welche die physische Abgrenzung (Perimeter) und das digitale Netzwerk (Cyberspace) direkt miteinander verbindet.
Der Luftraum über kritischen Anlagen wird damit zu einer neuen und leicht zugänglichen Domäne für Aufklärung, Provokation und letztlich für Infiltration. Die massenhafte Verfügbarkeit, die sinkenden Kosten und die rasante Miniaturisierung hochentwickelter UAS verschieben die strategische Risikobewertung fundamental. Während lange Zeit davon ausgegangen werden konnte, dass physisch isolierte Netzwerke (Air-Gaps / Inselnetzwerke) einen ausreichenden Schutz boten, können moderne Drohnen diese Barrieren effektiv überwinden.
Dieser Bericht untersucht, wie Spionagedrohnen von einfachen Aufklärungsplattformen zu hochwirksamen Vektoren für Advanced Persistent Threats (APTs) mutieren, die auf Operational Technology (OT) Umgebungen abzielen. Weiterhin wird analysiert, welche sektorspezifischen Risiken im Energie- und Verkehrssektor bestehen und welche integrativen Schutzstrategien, basierend auf Zero Trust Architecture (ZTA) und robustem Cyber Supply Chain Risk Management (C-SCRM), erforderlich sind, um die systemische Resilienz gegen diese konvergente hybride Bedrohung zu gewährleisten.
INHALTSVERZEICHNIS
1. Hybride Bedrohung: Wie Drohnen die Physische Aufklärung revolutionieren
Die Entwicklung unbemannter Luftfahrzeuge (UAS) hat die physische Aufklärung und die Fähigkeit zur Provokation kritischer Anlagen neu definiert. Drohnen liefern hochpräzise Daten in Echtzeit und ermöglichen eine taktische Lageaufklärung, die zuvor nur mit erheblichem Aufwand oder hohem Risiko durchführbar war.
1.1 Evolution und Dual-Use-Potenzial
Die militärische Nutzung von Aufklärungsdrohnen setzt den Standard für technologische Fähigkeiten. Die Bundeswehr verwendet eine Vielzahl von Modellen, darunter taktische Aufklärungsdrohnen wie die Mikado, die im Kommando Spezialkräfte (KSK) trainiert werden, um die Einsatzfähigkeit in Krisengebieten zu verbessern. Auch zukünftige europäische Projekte wie die Eurodrohne unterstreichen die strategische Bedeutung dieser Plattformen.
Entscheidend für die Verbreitung der Bedrohung ist die Dual-Use-Eigenschaft der Technologie. Der zivile Drohnenmarkt erlebt einen explosionsartigen Boom, wobei die Umsätze weltweit von geschätzten 8,8 Milliarden US-Dollar im Jahr 2022 auf fast 55 Milliarden US-Dollar bis 2030 ansteigen sollen. Diese zivile Innovation, insbesondere bei kleineren Drohnen, beschleunigt die militärischen und aggressiven Möglichkeiten.
Die Folge ist eine Miniaturisierung der Bedrohung: Kleine und mittelgroße Drohnen sind leicht zugänglich, kostengünstig und einfach einzusetzen. Diese Verfügbarkeit macht sie zu einem idealen Werkzeug für ruchlose Aktivitäten wie feindliche Überwachung, Waffenlieferung und gezielte Sprengungen gegen kritische Anlagen.
1.2 Technische Fähigkeiten und Resistenz
Die Leistungsfähigkeit moderner Drohnen stellt die existierenden Abwehrmechanismen vor große Herausforderungen. Beobachtungen zeigen, dass vermehrt UAS auftauchen, die auf die vorhandenen Abwehrmaßnahmen nicht ansprechen. Dies ist ein deutlicher Indikator dafür, dass die technologischen Fähigkeiten der Drohnen schneller fortschreiten als die Abwehrtechnologie, oder dass die eingesetzten Abwehrsysteme (Counter-UAS, C-UAS) veraltet sind.
Strategisch dienen diese UAS nicht nur der reinen Datenakquise. Ihr Einsatz zielt oft auf die Einschüchterung oder eine Machtdemonstration ab, beispielsweise wenn mehrere Drohnen unbefugt über kritischen Häfen kreisen. Die Abwehr von UAS (C-UAS) umfasst Technologien zur Erkennung, Verfolgung und Deaktivierung. Strategien zur Minderung reichen von Jammern (Störsendern) und Cyber-Übernahme bis hin zu kinetischen oder Hochenergie-Waffen. Die Herausforderung bleibt jedoch, dass die Komplexität und die Fähigkeiten der UAS, insbesondere kleiner Modelle, rasant zunehmen, was die Minderung der Bedrohung erschwert.
1.3 Rechtliche und operative Grauzonen
Die hybride Bedrohung durch nicht-kooperative Drohnen hat eine dringende Debatte über die operativen und rechtlichen Rahmenbedingungen ausgelöst. Die Notwendigkeit, auf hochresistente, potenziell staatlich gesponserte Drohnen zu reagieren, verdeutlicht, dass die existierenden zivilen Kapazitäten und rechtlichen Grundlagen für die Bekämpfung dieser Vektoren oft als unzureichend bewertet werden müssen.
Auch KRITIS-Betreiber im Verkehrssektor, wie der größte Containerhafen Dänemarks, verschärfen die Überwachung nach Drohnenaktivitäten. Die Notwendigkeit, Drohnen in kritischen Bereichen wie Häfen, Flughäfen und militärischen Einrichtungen zu „neutralisieren“ – sei es durch Unterbrechung des Steuersignals oder Zerstörung der Elektronik – zeigt, dass eine rein passive Verteidigung nicht mehr ausreicht.
Das strategische Dilemma besteht darin, dass die Drohnenbedrohung als Angriff auf die innere Sicherheit interpretiert werden muss, während die gesetzlichen Mechanismen zur aktiven Neutralisierung neuer, schnelllebiger Vektoren fehlen oder zu restriktiv sind. Die Ausweisung von „Drohnenzonen“ und die Erlaubnis aktiver Abwehrmaßnahmen sind somit entscheidende Voraussetzungen für eine wirksame physische Resilienz von KRITIS-Anlagen.
2. Die kritische Lücke: Warum der Fokus auf Drohnen die wahren Gefahren übersieht
Die wahre strategische Gefahr, die von Spionagedrohnen ausgeht, liegt nicht in ihrer primären Aufklärungsfunktion, sondern in ihrer Rolle als Vektor für die Infiltration und Sabotage digitaler Steuerungssysteme. Die Drohne ist das Glied, das die vermeintlich sichere Trennung zwischen der physischen Welt und der Betriebstechnologie (OT) aufhebt.
2.1 Die Cyber-Physische Konvergenz (CPC)
Drohnen ermöglichen es, die physische Isolation von Operational Technology (OT)-Netzwerken zu überwinden, die oft durch einen Air-Gap geschützt sind, um sie vor herkömmlichen Fern-Cyberangriffen zu bewahren. Das unbemannte Fluggerät wird damit zu einem direkten Infiltrationsvektor in das Herz der industriellen Steuerungssysteme (ICS/SCADA), welche die kritischen Prozesse steuern.
Die Hauptakteure, die diese Konvergenz ausnutzen, sind Advanced Persistent Threats (APTs). Diese staatlich gesponserten oder hochorganisierten Gruppen, darunter Akteure, die kritische Infrastrukturen in den USA und anderswo ins Visier nehmen, zeichnen sich durch ihre Hartnäckigkeit, lange Verweildauer, die mehrere Jahre betragen kann, und die Nutzung proprietärer Backdoors aus. APT-Angriffe gehören zu den am schwierigsten zu erkennenden Bedrohungen und sind explizit darauf ausgerichtet, Schwachstellen in OT/ICS auszunutzen.
2.2 Der Air-Gap-Killer: Physische Payload-Infiltration
Der Präzedenzfall für die Überwindung physisch isolierter Netzwerke wurde durch den Stuxnet-Wurm geschaffen. Stuxnet, der im Jahr 2010 entdeckt wurde und die Leittechnik von Zentrifugen im iranischen Atomprogramm störte, verbreitete sich erfolgreich über infizierte Wechseldatenträger in air-gapped Umgebungen. Die Verbreitungsmechanismen umfassten das Kopieren auf PCs mit Schreibberechtigung und die Infektion über manipulierten Shortcut-Dateien auf USB-Sticks.
Heute können Drohnen dieses Einfallstor modernisieren und automatisieren. Das Szenario der Drohnen-Payloads sieht vor, dass UAS manipulierten Code oder Hardware direkt in kritische Zonen liefern oder abwerfen. Ein zentraler Vektor ist der BadUSB-Angriff. Hierbei wird ein harmlos aussehendes USB-Gerät manipuliert, um sich als legitimes Gerät (z.B. eine Tastatur) auszugeben.
Sobald es an einen Computer angeschlossen wird, kann es automatisch Befehle ausführen, um Malware herunterzuladen oder das System zu kompromittieren. Malware wie USBferry wurde speziell dafür entwickelt, sich über Wechselmedien zu replizieren und Systeme in isolierten Umgebungen zu infizieren (MITRE ATT&CK Tactic T1091).
Die kritische Schlussfolgerung aus dieser Entwicklung ist, dass der Weg vom reinen Aufklärungsfoto zur vollständigen Systemübernahme durch einen Drohnenabwurf drastisch verkürzt wird. Eine Drohne identifiziert einen wenig frequentierten physischen Zugriffspunkt, liefert ein BadUSB-Gerät oder einen infizierten USBferry-Stick ab, und durch das Ausnutzen menschlicher Neugier oder Vertrauens wird das Air-Gap durchbrochen. Die teuerste Cyber-Abwehr (Air-Gap) kann somit durch eine Kombination aus einem handelsüblichen UAS und einem manipulierten Speichermedium überwunden werden.
2.3 Die Ausnutzung des menschlichen Faktors (Social Engineering)
Die Bedrohung aus der Luft wird oft durch die Schwachstelle Mensch unterstützt. Social Engineering-Methoden, die mehr als 82 Prozent aller Cyberangriffe begünstigen, funktionieren unabhängig von technischen Schutzmaßnahmen, indem sie gezielt menschliche Verhaltensmuster wie Hilfsbereitschaft, Angst oder den Respekt vor Autorität ausnutzen.
Drohnen-Reconnaissance spielt eine entscheidende Rolle bei der Vorbereitung zielgerichteter Social Engineering-Kampagnen. Das UAS kann präzise Informationen über die Organisation, Strukturen, verwendete Hardware, Routinen von Mitarbeitern, Schichtwechsel und physische Zugangskontrollen sammeln.
Ein prominentes Beispiel für die Verbindung von physischer Aufklärung und Social Engineering ist das Tailgating (Hinterhergehen). Drohnen-Aufklärung kann die Zeiten und Orte identifizieren, an denen Sicherheitslücken bestehen, weil Mitarbeiter aus Höflichkeit oder Unachtsamkeit anderen Personen, oft in Verkleidung als Lieferanten oder Kollegen, die Tür zu gesicherten Bereichen offen halten. Der Angreifer nutzt dabei die durch die Drohne identifizierte Routine und gibt sich als Lieferperson oder Kollege aus, um physischen Zugang zu den Systemen zu erlangen.
Zukünftig könnte die Drohnen-Aufklärung sogar zur Speisung hochentwickelter Manipulationstaktiken beitragen. KI-generierte Audio- oder Videofiles (Deepfakes) bieten neue Möglichkeiten zur psychologischen Manipulation, insbesondere wenn die Aufklärung durch Drohnen zuvor die notwendigen Bild- oder Stimmprofile geliefert hat (Social Engineering 2.0).
Physisch-Cyber-Hybride Vektoren durch Drohnen
| Angriffsphase | Ziel der Drohne | Cyber-Vektor / Ausgenutzte Schwachstelle | Beispiel-Vektor (Technisch/Menschlich) |
| Aufklärung (Reconnaissance) | Monitoring von Zugängen, Routinen, Kabeltrassen | Sammlung von TTPs, Social Engineering Profiling | Video-Überwachung zur Vorbereitung eines gezielten Spear-Phishing/Vishing-Angriffs oder Tailgating |
| Infiltration (Access) | Physische Lieferung eines Payloads in gesperrte Zonen | Umgehung des Air-Gap-Prinzips, Ausnutzung von USB-Sicherheitslücken | Abwurf eines manipulierten BadUSB-Sticks oder USBferry-Payloads in der Nähe einer OT-Schnittstelle |
| Physische Überwindung | Beobachtung von Zutrittsprozessen | Ausnutzung menschlicher Gutgläubigkeit (Tailgating) | Drohnenalarm/Provokation dient als Ablenkung, während ein Angreifer physisch in das Gebäude folgt |
| Eskalation/Sabotage | Bereitstellung von Kontextinformationen für Malware | Ausnutzung von Fehlern in Legacy-OT-Systemen (wie Stuxnet) | Drone-Feedback über den Status des physischen Prozesses, um die Sabotagelogik des Cyber-Angriffs zu timen |
Die Analyse der Vektoren verdeutlicht, dass die Drohne als Kinetic Delivery System für Cyber-Payloads fungiert, das Air-Gap-Verteidigungen überwindet und menschliche Schwachstellen synchron ausnutzt, wodurch eine mehrstufige hybride Attacke ermöglicht wird.
3. Sektor-Analyse: Von der Drohnen-Sichtung zur Systemlähmung
Die Betreiber Kritischer Infrastrukturen in den Sektoren Energie und Verkehr stehen aufgrund der engen Verzahnung physischer Anlagen mit anfälliger Steuerungssoftware vor signifikanten Risiken durch hybride Angriffe.
3.1 Kritische Infrastrukturen Energie
Die Hybride Bedrohung ist in den Sektoren Energie und Verkehr besonders virulent, da sie die Komplexität physischer Anlagen mit anfälliger Steuerungssoftware verknüpft, was zu signifikanten Risiken führt. Der Sektor Energie ist für die Gesellschaft lebenswichtig und umfasst die Versorgung mit Strom, Gas, Kraftstoff/Heizöl und Fernwärme. Anlagen wie große Stromverteilernetze, die einen Schwellenwert von 3.700 GWh/Jahr überschreiten, gelten als KRITIS. Diese Anlagen unterliegen strengen regulatorischen Anforderungen (NIS2, EnWG, IT-Sicherheitskatalog), die nun einen integrierten Schutz, einschließlich Supply Chain Risk Management (SCRM) und physischer Sicherheit, fordern.
Historische Angriffe belegen die Verwundbarkeit der Steuerungssysteme. Der Angriff auf das ukrainische Stromnetz im Dezember 2015, der auf russische staatliche Akteure zurückgeführt wurde, nutzte BlackEnergy-Malware, die über Spear-Phishing in die IT-Netzwerke der regionalen Stromverteilunternehmen eingeschleust wurde, um die industrielle Steuerung lahmzulegen und außerplanmäßig Stromausfälle zu verursachen.
In einem hybriden Szenario wird dieses Risiko durch die physische Komponente der Drohne potenziert. Drohnen können physische Angriffe, kinetisch oder elektromagnetisch, mit Cyber-Infiltration verbinden. Kritische physische Ziele, wie Umspannwerke, Kraftwerke oder Chemieanlagen, wurden bereits durch mysteriöse Drohnensichtungen oder Abstürze zur Schwachstellenprüfung ins Visier genommen, wie es beispielsweise in Pennsylvania und New York City dokumentiert wurde. Die Drohne dient hierbei dazu, die genauen Standorte von kritischen Steuerungskomponenten oder anfälligen Zugangspunkten für einen späteren, gezielten Angriff zu kartieren.
Die Kommunikation ist eine weitere kritische Schwachstelle. Dedizierte Telekommunikationsnetze, wie das LTE450-Funknetz, sind für die Systemresilienz der Energiewirtschaft unerlässlich, insbesondere weil kommerzielle Netze oft keine ausreichende Notstromversorgung besitzen. Drohnen-Reconnaissance könnte gezielt diese kritische Kommunikationsinfrastruktur oder deren exponierte Antennenstandorte aufklären, um Störungsangriffe auf die OT-Steuerung vorzubereiten. Die erfolgreiche Detektion einer Drohne bis zu einer Reichweite von 1.500 Metern mittels LTE450-Passivradar in Experimenten verdeutlicht jedoch auch das Potenzial dieser Technologie für die Drohnenabwehr.
3.2 Kritische Infrastrukturen Verkehr und Logistik
Der Verkehrssektor, einschließlich Flughäfen, Häfen und logistischer Knotenpunkte, bleibt ein leichtes Ziel für hybride Akteure. Die globale Abhängigkeit von Just-in-Time-Lieferketten macht diesen Sektor anfällig für ökonomische Sabotage.
Die hybride Bedrohung manifestiert sich in Häfen und Flughäfen, da Drohnen dort Systemlähmungen verursachen können, indem sie Kommunikation und Radarsignale stören. Die Besorgnis ist groß, da bereits hybride Angriffe an dänischen Flughäfen beobachtet wurden und Drohnen als Vektoren zur Störung der Schifffahrt eingesetzt werden können
Die strategische Relevanz dieser Angriffe liegt in ihrem Dominoeffekt. Eine gezielte Lähmung von Radarsignalen oder die physische Beschädigung von Umschlaganlagen in einem großen Containerhafen kann massive Verzögerungen in den globalen Lieferketten auslösen und somit eine effektive ökonomische Sabotage darstellen. Die Notwendigkeit zur Neutralisierung von Drohnen in diesen kritischen Bereichen wird daher von Branchenverbänden und Regierungen gleichermaßen betont.
3.3 Die Lieferkette als Multiplikator (Supply Chain Risk Management)
Unabhängig vom direkten Angriff auf die Hauptanlage hat sich die Kompromittierung von Zulieferern und Drittanbietern als einer der gefährlichsten und am schwersten zu entdeckenden Vektoren etabliert. Advanced Persistent Threats (APTs) nutzen gezielt die oft schwächer gesicherten IT- und OT-Systeme dieser Partner, um über vertrauenswürdige Verbindungen Zugang zu den hochsensiblen Netzwerken der KRITIS-Betreiber zu erlangen.
Drohnen-Aufklärung kann genutzt werden, um physische und digitale Schwachstellen bei Zulieferern zu identifizieren. Beispielsweise kann die Beobachtung von ungesicherten Ladebereichen oder schlecht überwachten Serverstandorten bei einem wichtigen IT-Dienstleister durch ein UAS die Informationsbeschaffung für einen späteren, gezielten Cyberangriff beschleunigen.
Die NIS-2-Richtlinie reagiert auf dieses Risiko, indem sie von besonders wichtigen und wichtigen Einrichtungen die Gewährleistung der Sicherheit ihrer Lieferkette (C-SCRM) fordert.
Dies impliziert, dass KRITIS-Betreiber ein tiefes Prozessverständnis ihrer Anbieter entwickeln, Auditierungen durchführen und Zulieferer zur Einhaltung grundlegender Prinzipien wie Security by Design und Security by Default anhalten müssen. Ohne ein wirksames Informationssicherheits-Managementsystem (ISMS) und ein umfassendes C-SCRM bleibt die Lieferkette ein attraktives und leicht zugängliches Einfallstor für hybride Bedrohung und Angreifer.
4. Schutzstrategien neu denken: Integrativer Schutz statt Einzelsystem-Fokus
Die hybride Bedrohung erfordert eine Abkehr von traditionellen Sicherheitsmodellen, die sich auf den Schutz des äußeren Perimeters konzentrieren. Die Strategie muss auf eine umfassende Resilienz abzielen, die technische Architektur, Zugriffsmanagement und den menschlichen Faktor integriert.
4.1 Die Unzulänglichkeit isolierter C-UAS-Systeme
Counter-UAS (C-UAS) Systeme zur Erkennung und Neutralisierung von Drohnen sind eine notwendige erste Verteidigungslinie. Sie nutzen fortschrittliche Technologien wie Radiofrequenz (RF)-Sensoren zur Analyse des elektromagnetischen Spektrums, Radarsysteme und Videoüberwachung. Die Neutralisierungsstrategien umfassen Jammer, Cyber-Übernahme oder kinetische Abwehr.
Die strategische Lücke entsteht jedoch, wenn die Verteidigungslinie nur den Luftraum umfasst. Wenn es der Drohne gelungen ist, einen BadUSB-Payload abzuwerfen oder die kritischen Informationen für einen Social-Engineering-Angriff zu sammeln, ist das isolierte C-UAS-System irrelevant geworden, da der Schaden im OT-Netzwerk entsteht. Die US-amerikanische Heimatschutzbehörde (DHS) betrachtet UAS selbst als Informations- und Kommunikationstechnologie (ICTS), deren Datenübertragung und Speicherung ein potenzielles Ziel für böswillige Akteure darstellt.
Echte Resilienz erfordert eine systematische Vorgehensweise, die den Drohnenschutz in ein übergeordnetes Risikomanagement einbindet. Die Datenintegration ist dabei entscheidend: Informationen aus C-UAS-Sensoren müssen in die zentrale Kommando- und Kontrollinfrastruktur (C2) eingespeist werden, um proaktive und koordinierte Reaktionen zu ermöglichen.
4.2 Zero Trust Architecture (ZTA) im OT-Umfeld
Angesichts der Möglichkeit einer erfolgreichen Infiltration durch hybride Vektoren, wie die physische Ablieferung von Malware per Drohne, ist die Zero Trust Architecture (ZTA) das einzig tragfähige strategische Rahmenwerk.Das Prinzip „Never trust, always verify“ (Vertraue niemals, überprüfe immer) eliminiert implizites Vertrauen, indem jeder Benutzer, jedes Gerät und jede Anwendung, unabhängig davon, ob sie sich innerhalb oder außerhalb des physischen Perimeters befinden, kontinuierlich authentifiziert und autorisiert werden muss.
Dieser Ansatz stellt sicher, dass selbst bei einem kompromittierten Zugang, der durch Drohnen-Aufklärung oder Social Engineering ermöglicht wurde, der Angreifer keinen automatischen lateralen Zugriff auf kritische Systeme erhält.
Die Kernprinzipien der ZTA sind direkt auf die Abwehr von hybriden APT-Angriffen anwendbar:
- Micro-Segmentation: Das Netzwerk wird in kleine, isolierte Segmente unterteilt, die jeweils eigene Sicherheitskontrollen und Richtlinien aufweisen. Dies ist entscheidend, um den „Blast Radius“ eines erfolgreichen Angriffs zu begrenzen, beispielsweise wenn eine BadUSB-Malware in ein IT-Segment gelangt und versucht, sich lateral in das kritische OT-Segment zu bewegen.
- Least Privilege Access (LPA): Benutzer, Konten und Geräte erhalten nur das absolute Minimum an Zugriffsberechtigungen, das für die Ausführung ihrer spezifischen Aufgaben erforderlich ist.
Die Implementierung der ZTA in OT-Umgebungen ist jedoch mit erheblichen Herausforderungen verbunden. Ein zentrales Dilemma sind die Legacy-Systeme. Viele kritische Prozesse laufen auf jahrzehntealten speicherprogrammierbaren Steuerungen (PLCs), die aus einer Ära stammen, in der Sicherheitskonzepte wie Authentifizierung oder Netzwerksegmentierung keine Rolle spielten.
Ein Austausch dieser Altlasten ist oft betriebswirtschaftlich nicht tragbar. Darüber hinaus hat in der OT-Welt die Verfügbarkeit (Availability) absolute Priorität. Jede Sicherheitsmaßnahme, die potenziell die Anlagenverfügbarkeit gefährden könnte, wird mit Skepsis betrachtet, was die Einführung neuer ZTA-Technologien verlangsamt.
4.3 Organisatorische und physische Gegenmaßnahmen
Die Abwehr der hybriden Bedrohung muss durch eine Stärkung der organisatorischen und physischen Sicherheitsdisziplinen ergänzt werden, die den Menschen als primäre Firewall in den Mittelpunkt stellen.
Privileged Access Management (PAM): Strategien zum Management privilegierter Zugriffe sind von fundamentaler Bedeutung, da sie die Angriffsfläche reduzieren und den Schaden durch externe Angriffe und Insider-Bedrohungen verhindern oder mindern können. Die Gefahr durch bösartige Insider oder kompromittierte Mitarbeiterkonten ist signifikant, da diese Vorfälle im Durchschnitt die höchsten Kosten verursachen, durchschnittlich 4,9 Millionen US-Dollar pro Vorfall.
PAM stellt sicher, dass selbst bei einem erfolgreichen initialen Zugriff, beispielsweise durch die Platzierung eines Payloads, der laterale Zugriff auf kritische Steuerungssysteme durch die strikte Umsetzung des Least-Privilege-Prinzips kontrolliert wird.
Dual Control (Zwei-Personen-Prinzip): Dieses Sicherheitskonzept verlangt die Beteiligung von zwei autorisierten Personen zur Durchführung kritischer Operationen, sowohl digital, z.B. bei der Freigabe von Konfigurationsänderungen, als auch physisch, z.B. beim Zutritt zu Hochsicherheitsbereichen. Der Zweck von Dual Control ist es, das Risiko eines Insider-Threats oder der Ausnutzung eines einzelnen, durch Social Engineering manipulierten Mitarbeiters zu minimieren. Das Prinzip wirkt direkt gegen Tailgating-Angriffe und andere Infiltrationsversuche, die durch Drohnen-Aufklärung vorbereitet wurden.
Personalresilienz und Schulung: Da Social Engineering menschliche Emotionen und Verhaltensmuster ausnutzt, um technische Schutzmaßnahmen zu umgehen, ist eine umfassende Cybersecurity-Awareness des Personals unerlässlich. Mitarbeiter müssen darin geschult werden, Social Engineering-Taktiken, einschließlich Phishing, Vishing und physisches Tailgating, zu erkennen und zu melden. Die Sensibilisierung für die Arten von Ansätzen, die feindliche Akteure nutzen, und die Einhaltung von Sicherheitsrichtlinien sind die wichtigsten Schritte zur Minderung dieser Bedrohung.
4.4 Die aktive Rolle der Videoüberwachung: KI-gestützte Frühwarnung
Hochauflösende Videoüberwachung gewinnt im Kontext der C-UAS-Strategien und der Abwehr hybrider Angriffe durch die Integration von Künstlicher Intelligenz (KI) eine neue, aktive Rolle. Video wird als eine der Schlüssel-Datenquellen innerhalb eines zentralen Kommando- und Kontrollsystems (C2) betrachtet, um proaktiv auf Drohnenbedrohungen zu reagieren.
Vorteile von KI-gestützter Videoanalyse in KRITIS-Umgebungen:
- Echtzeit-Erkennung und Fehlalarm-Minimierung: Herkömmliche Videoüberwachung ist oft fehleranfällig und generiert viele Fehlalarme. KI-Algorithmen ermöglichen jedoch eine präzise Objekterkennung und Klassifikation, z. B. Unterscheidung zwischen einer autorisierten Wartungsdrohne und einem unbefugten UAS. Durch die Einbeziehung kontextueller Filter, wie Wetterdaten oder Tageszeit, wird die Zuverlässigkeit des Systems erhöht und die Fehlalarmquote erheblich gesenkt, was für sicherheitskritische Umgebungen unerlässlich ist.
- Forensische Suchfunktionen und Täter-Identifikation: Die KI-Analyse kann tausende Stunden an Videomaterial in kurzer Zeit durchsuchen, um kritische Ereignisse oder ungewöhnliche Verhaltensmuster zu erkennen. Dies unterstützt die forensische Suche nach Drohnen-Payloads oder bei der Identifizierung von Eindringlingen und zurückgelassenen Objekten, die als Vektoren für Cyber- oder Sabotageakte dienen können.
- Integraler Bestandteil der C-UAS-Kette: Videoüberwachung liefert die notwendigen visuellen Daten, um die von Radar- und Hochfrequenz-Sensoren (RF-Sensoren) erfassten Drohnen zu verifizieren und zu verfolgen. Diese Datenintegration in das zentrale C2-System ermöglicht eine koordinierte Reaktion und die dreidimensionale Visualisierung des Bedrohungsszenarios, was die Entscheidungsfindung für das Sicherheitspersonal verbessert.
- Schutz der Energieversorgungskette: Insbesondere bei der mobilen Videoüberwachung kritischer Energieinfrastrukturen, die flexiblen Schutz entlang der gesamten Versorgungskette benötigen, bietet die KI-gestützte Analyse eine kosteneffiziente Lösung zum Schutz vor Sabotage und unbefugtem Zutritt.
Zwar obliegt die abschließende Bewertung eines Alarms immer den Sicherheitsmitarbeitern, doch KI-Modelle unterstützen diese effizient dabei, die hybride Bedrohung frühzeitig und präzise zu erkennen und zu lokalisieren.
Strategische Säulen der Hybridabwehr für KRITIS
| Sicherheitssäule | Implementierungsstrategie | Zweck im Kontext der Hybriden Bedrohung | KRITIS-Herausforderung |
| Cyber-Architektur (OT/ICS) | Zero Trust Architecture (ZTA) / Micro-Segmentation | Verhindert laterale Bewegung und begrenzt den Schadensradius, falls ein Drohnen-Payload die Perimeter umgeht. | Hohe Verfügbarkeit (A) vs. Sicherheit (C/I); Legacy-Systeme ohne native ZTA-Funktionen |
| Zugriffskontrolle (Digital) | Privileged Access Management (PAM) / Least Privilege | Minimiert das Schadenspotenzial kompromittierter Konten (Insider-Threats) oder Malware-Zugriff auf kritische Funktionen. | Komplexität der OT-Protokolle; Notwendigkeit permanenter Überwachung |
| Physische Sicherheit (Operativ) | Dual Control / Strikte Zugangsrichtlinien | Schutz vor physischen Infiltrationsversuchen (Tailgating), die durch Drohnen-Reconnaissance vorbereitet wurden. | Soziale Normen (Hilfsbereitschaft) als Schwachstelle; Notwendigkeit von 24/7-Überwachung |
| Organisatorische Resilienz | Proaktive Schulung und Awareness (Social Engineering) | Stärkt die menschliche Firewall gegen Manipulation und Ablenkung, die Aufklärung durch Drohnen nutzt. | Fortschritte bei Deepfakes; Ausnutzung von Angst und Autorität |
5. Fazit: Hybride Bedrohung von der Abwehr zur umfassenden Resilienz
Die Analyse zeigt, dass Spionagedrohnen einen tiefgreifenden Paradigmenwechsel in der Bedrohungslage für Kritische Infrastrukturen darstellen. Die Gefahr kulminiert in der Fähigkeit der Drohne, als anonymer, schneller Vektor die physische Infiltration von Cyber-Payloads zu ermöglichen und die Schwachstellen des menschlichen Faktors gezielt auszunutzen. Die hybride Bedrohung ist hybrid und konvergent, und die Verteidigung muss es ebenfalls sein.
Die Fokussierung auf isolierte Counter-UAS-Systeme reicht nicht aus, um die durch Drohnen ermöglichte Infiltration von OT-Systemen zu verhindern. Echte Resilienz erfordert eine strategische Neuausrichtung auf die Prinzipien der Zero Trust Architecture, insbesondere in den historisch anfälligen OT-Umgebungen. Die konsequente Umsetzung von Micro-Segmentation und Least Privilege Access ist der kritische architektonische Schutzmechanismus, um den Erfolg eines physisch eingeschleusten Payloads zu begrenzen.
Ergänzend dazu müssen organisatorische und operative Maßnahmen wie das strikte Privileged Access Management und die Anwendung des Dual Control Prinzips sicherstellen, dass die durch Aufklärung gewonnenen Informationen und kompromittierten Konten keinen singulären Zugang zu kritischen Funktionen erlauben.
Die Stärkung der „menschlichen Firewall“ durch fortlaufende, gezielte Schulungen zur Erkennung von Social Engineering-Taktiken, die durch die Präzision der Drohnen-Aufklärung ermöglicht werden, bleibt eine fundamentale Notwendigkeit.
KRITIS-Betreiber müssen Sicherheitsinvestitionen nicht nur als regulatorische Compliance, sondern als strategische Resilienzmaßnahme gegen die eskalierenden Risiken der Cyber-Physical-Convergence betrachten.
6. FAQs: Hybride Bedrohung häufig gestellte Fragen
1. Worin besteht der Unterschied zwischen UAV und UAS in der Sicherheitsterminologie?
Die Begriffe UAV (Unmanned Aerial Vehicle – unbemanntes Luftfahrzeug) und UAS (Unmanned Aircraft System – unbemanntes Flugsystem) bezeichnen nicht dasselbe:
UAV ist das fliegende Objekt selbst, also die reine Plattform oder Drohne.
UAS ist der präzisere, umfassendere Begriff in der Sicherheitsterminologie. Er beschreibt das gesamte System, zu dem nicht nur das Flugobjekt (UAV) gehört, sondern auch die Kontrollstation, die Kommunikationsverbindungen und die gesamte unterstützende Infrastruktur.
2. Warum ist die Unterscheidung zwischen UAV und UAS für Betreiber Kritischer Infrastrukturen (KRITIS) wichtig?
Für KRITIS-Betreiber ist die Systemperspektive UAS entscheidend, da die Bedrohung nicht nur vom Flugobjekt ausgeht. Ein UAS wird von der Cybersicherheitsbehörde CISA als Informations- und Kommunikationstechnologie (ICTS) betrachtet.
Das bedeutet, dass jeder Verbindungspunkt des Systems – die Datenübertragung, die Speicherung oder die Steuerung – ein potenzielles Ziel für böswillige Akteure darstellt, um sensible Informationen zu kompromittieren. Ein C-UAS (Counter-UAS) System muss daher das gesamte Bedrohungssystem erkennen und neutralisieren, nicht nur die Drohne selbst.
3. Was versteht man unter einer „hybriden Bedrohung“ im Kontext Kritischer Infrastrukturen (KRITIS)?
Eine hybride Bedrohung kombiniert konventionelle, cyber- und informationsbasierte Methoden, um kritische Prozesse zu stören. Im Kontext von KRITIS (Energie, Verkehr) bedeutet dies die gezielte Verschmelzung von physischer Aufklärung (oft durch Drohnen) mit anschließenden Cyberangriffen, um beispielsweise die Betriebstechnologie (OT/SCADA-Systeme) lahmzulegen. Die Drohne dient dabei als Vektor, der die physische Isolation (Air-Gap) überwindet und so den Weg für digitale Sabotage bereitet.
4. Wie können Drohnen die angenommene Sicherheit eines „Air-Gap“ überwinden, das physisch isolierte Netzwerke schützen soll?
Netzwerke, die durch einen Air-Gap geschützt sind, sollen vor Cyberangriffen aus der Ferne sicher sein. Drohnen überwinden diese physische Isolation, indem sie als Kinetic Delivery System für Cyber-Payloads fungieren. Sie können beispielsweise manipulierte USB-Geräte, sogenannte BadUSB-Sticks oder Malware wie USBferry, in unmittelbarer Nähe von OT-Systemen abwerfen. Wenn ein Mitarbeiter dieses Medium aus Neugier anschließt, wird die Malware automatisch ausgeführt, das Air-Gap durchbrochen und das isolierte Netzwerk infiziert.
5. Was versteht man unter Counter-UAS (C-UAS)?
C-UAS steht für Counter-Unmanned Aircraft Systems und bezeichnet Technologien und Methoden, die zur Erkennung, Verfolgung, Identifizierung und Deaktivierung nicht-kooperativer Drohnen (UAVs) eingesetzt werden.
Die Abwehrstrategien umfassen typischerweise vier Kategorien, um das gesamte Flugsystem (UAS) zu neutralisieren:
– Jammers (Störsender): Unterbrechen die Funkverbindungen zwischen Drohne und Bediener.
– Cyber-Takeover: Versuchen, die Steuerung der Drohne zu übernehmen.
– Kinetische Abwehr: Setzen physische Mittel ein wie z. B. Netze oder andere Drohnen.
– Hochenergie-Waffen: Nutzen Laser oder ähnliche Technologien zur Zerstörung der Elektronik.
6. Welche Rolle spielen Advanced Persistent Threats (APTs) bei der hybriden Bedrohung von KRITIS?
APTs sind hochorganisierte, oft staatlich gesponserte Akteure, die eine hybride Bedrohung darstellen, indem sie hartnäckig mit Verweildauern von mehreren Jahren und gezielt Schwachstellen in OT/ICS-Systemen ausnutzen. Drohnen dienen diesen Akteuren als physisches Aufklärungswerkzeug, um die besten Zugangspunkte für ihre Infiltration zu finden. Die gesammelten Informationen aus dem physischen Raum helfen den APTs, ihre Cyber-Angriffe zu timen und ihre proprietären Backdoors effektiv in kritischen Steuerungssystemen zu platzieren, wodurch die hybride Natur ihrer Operationen, die Verflechtung von physischer Aufklärung und Cyber-Angriff, deutlich wird.
7. Was ist ein Tailgating-Angriff, und wie wird er durch Drohnen-Aufklärung unterstützt?
Tailgating ist eine Social Engineering-Technik, die Teil einer hybriden Bedrohung ist. Dabei folgt ein unbefugter Angreifer einem autorisierten Mitarbeiter unbemerkt durch eine gesicherte Tür, indem er menschliche Verhaltensmuster wie Höflichkeit oder Vertrauen ausnutzt. Die hybride Natur dieser Bedrohung ergibt sich aus der Verzahnung von physischem Social Engineering und technischer Aufklärung: Drohnen-Aufklärung liefert dem Angreifer präzise, digitale Informationen über die Arbeitsroutinen des Personals und über schwach gesicherte physische Zugänge. Dieses gesammelte Wissen ermöglicht es dem Angreifer, sich zeitlich und in seiner Verkleidung, z.B. als Lieferperson, perfekt auf den physischen Infiltrationsversuch vorzubereiten.
8. Warum sind Anti-Drohnen-Systeme (C-UAS) allein keine ausreichende Sicherheitsstrategie?
Counter-UAS (C-UAS) Systeme sind zwar notwendig, um Drohnen in der Luft zu erkennen, zu verfolgen und zu neutralisieren. Sie bieten jedoch keinen umfassenden Schutz vor einer hybriden Bedrohung, wenn die Drohne ihre Mission als Träger abgeschlossen hat. Sobald die Drohne die notwendigen Aufklärungsdaten gesammelt oder einen Cyber-Payload erfolgreich abgeworfen hat, verlagert sich die Bedrohung in das interne, digitale OT-Netzwerk, wo der eigentliche Schaden entsteht. Die alleinige Abwehr im Luftraum ignoriert die konvergente Natur der hybriden Bedrohung, bei der die physische Komponente (die Drohne) lediglich der initiale Vektor für einen folgenden, weit effektiveren Cyber-Angriff ist.
9. Was bedeutet das Zero-Trust-Prinzip (ZTA) für Betreiber von OT-Systemen?
Zero Trust Architecture (ZTA) basiert auf dem Prinzip „Never trust, always verify“ und eliminiert implizites Vertrauen in der gesamten Netzwerkarchitektur. Für OT-Betreiber ist dies ein entscheidender Schutz gegen die hybride Bedrohung. ZTA hilft, den „Blast Radius“ eines erfolgreichen Angriffs zu begrenzen, selbst wenn dieser durch einen physischen Vektor wie einen BadUSB-Payload in das System eingebracht wurde. Um die laterale Bewegung des Angreifers nach einer anfänglichen hybriden Infiltration (physischer Zugang, gefolgt von Cyber-Exploitation) zu verhindern, erfordert ZTA die Micro-Segmentation des Netzwerks und die strikte Anwendung des Least-Privilege-Prinzips.
10. Welche Herausforderungen bestehen bei der Implementierung von Zero Trust Architecture in OT-Umgebungen?
Die Implementierung von Zero Trust Architecture in Operational Technology ist komplex. Viele kritische Prozesse laufen auf jahrzehntealten Legacy-Systemen (PLCs), die keine nativen Funktionen für moderne Sicherheitskonzepte wie Authentifizierung oder Netzwerksegmentierung bieten. Darüber hinaus hat in der OT-Welt die Verfügbarkeit der Anlagen absolute Priorität, weshalb jede Sicherheitsmaßnahme, die potenziell die Betriebszeit gefährden könnte, mit Skepsis betrachtet wird.
11. Wie kann das Personal zur ersten Verteidigungslinie gegen Social Engineering werden?
Da Social Engineering-Taktiken über 82 Prozent aller Cyberangriffe begünstigen, ist die Stärkung der „menschlichen Firewall“ unerlässlich. Mitarbeiter müssen durch gezielte Schulungen sensibilisiert werden, um Social Engineering-Taktiken wie Phishing, Vishing (Voice Phishing), das Ausnutzen von Autorität und physisches Tailgating zu erkennen und zu melden. Organisatorische Prinzipien wie das Zwei-Personen-Prinzip (Dual Control) minimieren das Risiko, dass ein einzelner, manipulierter Mitarbeiter kritische Operationen oder Zugänge freigeben kann.
Disclaimer
Der vorliegende Artikel „Hybride Bedrohung aus der Luft“ wurde zu analytischen und strategischen Zwecken erstellt, um Führungskräfte und Entscheidungsträger über das sich entwickelnde Bedrohungsszenario der hybriden Kriegsführung und dessen Implikationen für Kritische Infrastrukturen (KRITIS) zu informieren. Die dargestellten Analysen und Empfehlungen basieren auf öffentlich zugänglichen Informationen, Forschungsergebnissen sowie eigenen Erfahrungen sowie strategischen Ableitungen im Bereich der Cybersicherheit und physischen Sicherheit.
Es wird ausdrücklich darauf hingewiesen, dass die in diesem Dokument enthaltenen Informationen nicht als Rechts-, Betriebs- oder spezifische Sicherheitsempfehlungen für einzelne Organisationen oder Anlagen dienen. Die Haftung für die Nutzung oder Auslegung der hier bereitgestellten Inhalte wird ausgeschlossen. Betreiber von KRITIS sind verpflichtet, individuelle Risikobewertungen durchzuführen und ihre Sicherheitsmaßnahmen gemäß den nationalen (BSI) und europäischen (NIS2) Richtlinien zu implementieren und kontinuierlich zu prüfen.
Quellenangaben
Bundeswehr-Drohnen: Zukunft der Luftaufklärung https://www.bundeswehr-und-mehr.de/blog/bundeswehr/drohnen
Technische, militärische und politische Entwicklungen im Bereich Drohnen. https://monitor.cntrarmscontrol.org/2024/technische-militarische-und-politische-entwicklungen-im-bereich-drohnen/
Bericht zur Luftraumsicherheit 2022. https://de.dedrone.com/white-papers/airspace-security-insights-report-2022
Bundeswehr soll bei Gefahr Drohnen in Amtshilfe abschießen dürfen. https://augengeradeaus.net/2025/01/bundeswehr-soll-bei-gefahr-drohnen-in-amtshilfe-abschiessen-duerfen/
Dänemarks größter Containerhafen verschärft Überwachung nach Drohnenaktivitäten. https://dispo.cc/artikel/daenemarks-groesster-containerhafen-verschaerft-ueberwachung-nach-drohnenaktivitaeten/
NSA, CISA: Wie Cyber-Akteure OT/ICS kompromittieren und wie man sich dagegen verteidigen kann. https://www.nsa.gov/Press-Room/News-Highlights/Article/Article/3167259/nsa-cisa-how-cyber-actors-compromise-otics-and-how-to-defend-against-it/
BadUSB-Angriff. https://sepiocyber.com/resources/case-studies/badusb-attack/
Deepfakes – Gefahren und Gegenmaßnahmen. https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Kuenstliche-Intelligenz/Deepfakes/deepfakes_node.html
C-UAS: Datenquellen und Kernkompetenzen. https://sigblog.hexagon.com/c-uas-data-sources-and-core-capabilities/
Was ist Zero Trust Architecture (ZTA)? https://www.paloaltonetworks.com/cyberpedia/what-is-a-zero-trust-architecture
Das zentrale Sicherheitskonzept der doppelten Kontrolle. https://bluegoatcyber.com/blog/the-key-security-concept-of-dual-control/
Die Notwendigkeit einer privilegierten Zugriffsverwaltung. https://www.oliverwyman.com/our-expertise/insights/2024/may/privileged-access-management.html
Das Erbe von Stuxnet. https://www.connect-professional.de/security/das-erbe-von-stuxnet-323959.html
NUTZUNG | HAFTUNG
Trotz sorgfältiger Kontrolle übernehmen wir keine Gewähr für die Richtigkeit und Vollständigkeit der Inhalte.